defender-for-cloud-ai

Microsoft Defender for Cloud — AI ワークロードの保護

Defender for Cloud の AI プランは、組織が運用する Azure OpenAI、Azure AI Foundry、Amazon Bedrock、Google Vertex AI のデプロイなど、AI ワークロード自体を保護します。機能は 2 つあります。

• AI セキュリティ態勢管理（AI-SPM）：エージェントレスで検出し、セキュリティ態勢を評価します（AI がどこにデプロイされているか、どのグラウンディングデータが公開されているか、どのような設定ミスがあるかを確認します）。
• AI ワークロード向けランタイム脅威保護：Azure OpenAI で、プロンプトインジェクション、ジェイルブレイク、機密データの漏えい、ウォレットの不正利用、認証情報の漏えいを検出し、Azure AI Content Safety Prompt Shields と連携します。

使用する場面

Azure OpenAI／Azure AI Foundry（および必要に応じて Bedrock／Vertex）で生成 AI アプリケーションを構築または運用しており、ワークロード側でセキュリティ態勢管理とランタイム検出が必要な場合に使用します。

このスキルは使用しないでください。エンドユーザー側の AI ガバナンス（purview-ai-hub）、Content Safety ポリシーの作成（azure-ai-content-safety）、または M365 Copilot の展開（copilot-for-m365-readiness）には使用しません。

利用できる機能

機能	対象範囲
マルチクラウド AI の検出	Azure（OpenAI、Foundry）、AWS Bedrock、GCP Vertex AI（既存のマルチクラウドコネクタ経由）
機密性の高いグラウンディングデータの公開	機密データを含むグラウンディングストレージと、公開アクセスまたは過剰に許可されたアクセスを特定します
攻撃経路の分析	「インターネットに公開された AI エンドポイントと、機密性の高いグラウンディングデータおよび過剰な権限を持つ ID の組み合わせ」
ランタイム検出（Azure OpenAI）	プロンプト／応答でのプロンプトインジェクション、ジェイルブレイク、機密データの漏えい、不審なアクセスパターン、ウォレットの不正利用
Prompt Shields との連携	Content Safety のプロンプトシールドシグナルを活用した検出
Defender XDR のアラート	クラウドおよび ID のシグナルと関連付けられたインシデント

アプローチ

1. 前提条件。 Defender for Cloud がサブスクリプションスコープで有効になっていること。Defender CSPM プランが有効になっていること（攻撃経路分析を通じて AI-SPM を提供します）。Azure OpenAI ワークロードでは、 Defender for AI Services のランタイムプランが有効になっていること。Microsoft 以外のクラウドでは、AWS/GCP コネクターが すでに設定されている必要があります。

2. AI 資産を検出します。 有効化から 24 時間以内に、Defender for Cloud のインベントリに Azure OpenAI、Foundry、Bedrock、Vertex のリソースが表示されます。AI Security posture ダッシュボードを確認します。

   • どの AI リソースがパブリックネットワークに公開されているか。
   • Microsoft Entra を使用しているもの（良好）と API キーを使用しているもの（警告）。
   • Purview によって機密データと分類されたデータを含むグラウンディングストア（Azure AI Search、Blob、Cosmos）はどれか、また過剰な権限が付与されていないか。

3. まず攻撃経路を優先してトリアージします。 価値の高い経路は通常、次のとおりです。

   • インターネットに公開された Azure OpenAI エンドポイント + 機密データを含むグラウンディングストア + 広範な RBAC 権限を持つ ID。
   • パブリックネットワークが有効な Foundry ハブ + 顧客管理のグラウンディングデータ + Content Safety フィルターなし。 個々の検出結果を個別にトリアージするのではなく、経路を修正します（プライベートエンドポイントの設定、ID のスコープ制限、Content Safety の有効化）。

4. ランタイム検出を有効にします（Azure OpenAI）。 サブスクリプションごとに 1 つの切り替えで設定できます。このサービスはプロンプトと応答をサンプリングし（データプライバシー設定に従います）、Microsoft の脅威モデルと Prompt Shields に照らして評価します。

5. アプリケーションの Azure OpenAI 呼び出しチェーンに Content Safety Prompt Shields を組み込みます。Prompt Shields が有効な場合、ワークロード自体が攻撃を拒否しているため、Defender のアラートの精度が高まります。その後、Defender が SOC にアラートを通知します。

6. アラート対応ランブック。

   • プロンプトインジェクション／ジェイルブレイクを検出：呼び出し元の ID、送信元 IP、再発頻度を補足情報として加えます。継続する場合は、API キーを無効化するか、ユーザーを無効にします。
   • 応答内の機密データ漏えい：グラウンディングデータを調査します。グラウンディングストアの RBAC を厳格化し、Content Safety の出力フィルターを追加します。
   • ウォレットの不正使用（単一のプリンシパルによる高額なコスト）：レート制限を設定し、資格情報を無効化して、侵害された資格情報を調査します。
   • プロンプト内の資格情報漏えい：漏えいしたシークレットをローテーションし、ログを調べて過去の露出を探します。

7. Defender XDR／Sentinel との統合。 アラートは「Microsoft Defender for AI Services」／「Cloud」カテゴリに表示されます。製品をまたいだ相関関係を構築します （例：AI アラート + Defender for Cloud Apps における異常なユーザーアクティビティ）。

8. 継続的なセキュリティ態勢の確認。 毎週、新たにデプロイされた AI のうちプライベートエンドポイントがないもの、新たに追加された機密データを含むグラウンディングストア、広範な AI RBAC 権限を持つ新しい ID を確認します。

ガードレール

• ランタイム保護はプロンプトと応答をサンプリングします。 データプライバシーの態勢と顧客への開示内容を検証してください。一部の規制対象業界では、顧客の同意が必要です。
• 最大のリスクはパブリックエンドポイントです。 プライベートエンドポイントを設定しない限り、AI サービスはデフォルトでパブリックです。ランディングゾーンポリシーに組み込んでください。
• 2 番目に大きなリスクは API キー認証です。 Entra ベースの認証を強制し、キーは最低でも四半期ごとにローテーションしてください。
• グラウンディングデータは新たなデータベースです。 最重要資産と同じ扱いをしてください。機密ラベルの適用、RBAC のスコープ制限、ソースでの Defender for Storage の有効化が必要です。
• Content Safety は Defender とは別の機能です。 どちらも必要です。Content Safety はモデル呼び出し時にブロックし、Defender はセキュリティインシデントを検出してアラートを通知します。
• Defender for AI は、AI アプリのビジネスロジックの悪用から保護しません。 入力検証、レート制限、認証は、引き続きアプリケーションの責任です。
• マルチクラウドの AI ランタイム検出は段階的にロールアウトされています。 お使いのリージョンで Bedrock／Vertex が GA かプレビューかを確認してください。

よくあるアンチパターン

• 「『開発者の生産性向上』のために、パブリックエンドポイントと API キーを使って AI ワークロードをデプロイする」 — 恒久的な攻撃対象領域となり、アラート発生源の第 1 位になります。
• 「機密データを含むグラウンディング用データストアに、『AAD-everyone』への『Reader』アクセス権を付与する」 — M365 Copilot での過剰共有と同じように、アプリの Copilot でも情報漏えいが発生します。
• 「Content Safety Prompt Shields を有効にし、Defender for AI を導入しない」 — 攻撃を拒否できても、攻撃キャンペーンを把握したり、ID と関連付けたりできません。
• 「Defender CSPM を使わずに Defender for AI を有効にする」 — 攻撃経路の分析ができなくなり、アラートのコンテキストも不足します。
• 「ウォレット悪用のアラートをコスト管理の問題としてのみ扱う」 — 多くの場合、認証情報が侵害されています。セキュリティインシデントとして調査してください。
• 「Sentinel のアラートルーティングが未設定」 — アラートが DfC コンソールに溜まり、SOC でトリアージされません。
• 「API キーを『一時的に』コードに記載する」 — 認証情報が漏えいすると検出されますが、その時点ですでに被害を受けています。

プロンプトの例

• 12 個のサブスクリプションで、Azure OpenAI および AI Foundry のデプロイを含む Defender for Cloud AI プランを有効にしてください。
• AI ワークロードとグラウンディング用データストアをインベントリし、上位 10 件の攻撃経路を特定してください。
• 「プロンプトインジェクションを検出」アラートのランブックを作成してください。トリアージ、封じ込め、ハンティングを含めてください。
• Azure AI Content Safety Prompt Shields を Foundry チャットアプリと統合し、Defender のランタイム検出を有効にしてください。
• セキュリティ態勢のパイプラインとして、すべての Azure OpenAI リソースでプライベートエンドポイントと Entra 認証を必須にする Azure Policy を設定してください。
• AWS Bedrock と GCP Vertex AI の使用状況を Defender AI-SPM に接続してください。
• Defender AI のウォレット悪用アラートと、呼び出し元 ID のサインインリスクを関連付ける Sentinel の検出を設定してください。

Microsoft Learn

• AI プランの概要：https://learn.microsoft.com/azure/defender-for-cloud/ai-threat-protection
• AI-SPM：https://learn.microsoft.com/azure/defender-for-cloud/ai-security-posture
• AI の脅威対策を有効にする：https://learn.microsoft.com/azure/defender-for-cloud/ai-threat-protection
• アラートのリファレンス（AI）：https://learn.microsoft.com/azure/defender-for-cloud/alerts-reference#alerts-ai
• 攻撃経路：https://learn.microsoft.com/azure/defender-for-cloud/concept-attack-path
• Azure AI Content Safety Prompt Shields：https://learn.microsoft.com/azure/ai-services/content-safety/concepts/jailbreak-detection
• Azure OpenAI の Entra 認証：https://learn.microsoft.com/azure/ai-services/openai/how-to/managed-identity
• マルチクラウドコネクタ：https://learn.microsoft.com/azure/defender-for-cloud/multicloud